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(57) Abstract 

The invention concerns a self-unpredictable microprocessor or 
microcomputer, comprising a processor (1), a first working memory (51), 
a main memory (6) containing an operation system, a main programme 
(PI) and a secondary programme (P2), characterised in that it further 
comprises: a second working memory (52); switching means enabling, 
during the execution of programmes, to switch the working memory 
function to one of its two working memories (5 1 , 52) while preserving 
their contents; said switching means comprising at least a block of 
registers (54) for memorising the context of the programme process flow 
in the main memory and a switching circuit (53) for validating one of 
the working memories and access registers (A1-A3), (D1-D3) associated 
with each memory (51, 52, 6) and controlled by said switching circuit 
(53). 

(57) Abrege 

La presente invention concerne un microprocesseur ou microcal- 
culateur imprevisible, comprenant un processeur (1), une premiere (51) 
memoire de travail, une memoire principale (6) contenant un systeme 
d 'exploitation, un programme principal (PI) et un programme secondaire 
(P2), caracterise* en ce qu'il possede 6galement: une seconde (52) 
memoire de travail; des moyens de commutation permettant, pendant 
Fexecution des programmes, de commuter r utilisation comme memoire 
de travail vers Tune de ses deux mernoires de travail (51, 52), tout en con- 
servant leur contenu; ces moyens de commutation comprenant au moins 
un bloc de registres (54) de memorisation du contexte de deroulement 
des programmes dans la memoire principale et un circuit d'aiguillage (53) 
pour la validation d'une des mernoires de travail et des registres d'acces 
(A1-A3), (D1-D3) associes a chaque mdmoire (51, 52, 6) et contrdles 
par ledit circuit d'aiguillage (53). 
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MICROPROCESSEUR OU MICROCALCULATEUR IMPREVISIBLE 

5 

La presente invention concerne un microprocesseur ou 
microcalculateur imprevisible. 

II est connu que les microprocesseurs ou les microcalculateurs 
executent sequentiellement des instructions successives d'un programme 
10 enregistre dans une memoire, en synchronisme avec un ou piusieurs 
signaux de cadencement references par rapport a un des signaux d'horloge 
fournis au microprocesseur ou au microcalculateur, soit en interne, soit en 
externe. 

II s'est avere possible de connaitre les differentes phases de cette 

15 execution de programme en fonction du temps puisque Texecution des 
instructions s'effectue sequentiellement suivant un processus predetermine 
par ce programme, en general en synchronisme avec les signaux d'horloge 
qui cadencent regulierement le processeur. En effet, tout programme se 
traduit par une suite destructions qui doivent etre executees 

20 successivement dans un ordre connu a I'avance, les instants de debut et de 
fin de chaque instruction etant parfaitement connus car elles s'executent 
suivant un processus predetermine en fonction du temps. II est done en 
principe possible de savoir quelle est Instruction qui s'execute a un moment 
donne dans i'unite de traitement du processeur puisque le programme qui se 

25 deroule est constitue de cette suite predeterminee d'instructions. 

On peut, par exemple determiner le nombre destructions executees 
a partir du lancement du programme, du demarrage de I'unite de traitement, 
ou encore du temps qui s'est ecoule depuis un evenement, un signal de 
reference externe ou interne, ou encore la remise a zero du processeur. 

30 Cette possibility de pouvoir observer le deroulement d'un 

programme dans un microprocesseur ou un microcalculateur est un 
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inconvenient majeur lorsque ce microprocesseur ou microcalculateur est 
utilise dans des applications de haute securite. En effet, un individu mal 
intentionne pourrait ainsi connaitre les etats successifs dans lesquels se 
trouve le processeur et tirer parti de ces informations pour connaitre certains 
resultats sensibles de traitement interne. 

On peut imaginer, par exemple, qu'une action donnee peut se 
produire a des instants differents en fonction du resuitat d'une operation 
securitaire determinee, tel que le test d'une information confidentielle interne 
ou le dechiffrement d'un message, ou encore le controle d'integrite de 
certaines informations. Selon I'instant considere, on pourrait, par exemple 
agir sur !e processeur, ou obtenir la valeur de certains registres par 
investigation physique afin d'obtenir des renseignements sur le resuitat ou 
sur le contenu confidentiel de ('information, et meme dans le cas de calculs 
cryptographiques, sur la cle secrete de chiffrement utilisee. 

il est connu des dispositifs qui apportent un premier 
perfectionnement aux microcalculateurs securises en les dotant de circuits 
qui generent des impulsions d'horloge aleatoires. De cette maniere, 
I'observation des evenements rend particulierement difficiles les 
investigations, puisque leur synchronisation devient vite impraticable. 

Cependant, ce type de solution presente de nombreux 
inconvenients: 

Tout d'abord, la conception de tels circuits est particulierement 
delicate et fastidieuse car il n'est pas possible de simuler un fonctionnement 
aleatoire dans la totalite d'un circuit aussi complexe qu'un microcalculateur. 
II est encore plus difficile de tester ces circuits en fin de fabrication dans leur 
comportement brouille. Une suite aleatoire d'impulsions d'horloge est en 
effet tres difficile a simuler pour la mise au point des circuits, mais il est 
encore plus difficile de maitriser tous les comportements de I'ensemble des 
circuits logiques du processeur, notamment pendant les periodes de 
commutation des signaux sur les bus internes et dans les registres. 
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C'est pourquoi un premier perfectionnement, objet de la demande de 
brevet fran9ais N° 9602903 du 07-03-96 de la demanderesse, intitule "circuit 
integre perfectionne, procede d'utilisation d'un tel circuit integre", a ete 
apporte pour permettre un fonctionnement normal du processeur pendant 
5 les periodes de mise au point et de test avec une horloge periodique 
habituelle; le processeur etant capable de commuter lui-meme le mode 
protege ou le mode normal. Pour assurer la securite, on peut facilement 
imaginer que ce mode ne peut etre active par le processeur que sur 
presentation d'un mot de passe ou d'un message chiffre ad-hoc. 

10 En sus des difficultes citees, subsiste celle du diagnostic des 

pannes lors des sequences sous controle d'une horloge aleatoire, c'est-a- 
dire parfaitement desordonnee. En effet, comment peut-on, dans un tel 
desordre, attribuer le probleme a une partie defaillante et determiner dans 
quelles conditions exactes il apparait. 

15 On voit que I'utilisation d'une horloge aleatoire, meme si elle apporte 

un perfectionnement theoriquement interessant, n'apporte pas une solution 
parfaitement satisfaisante et surtout facile a mettre en oeuvre dans la 
pratique. 

C'est un des buts de I'invention que de doter le processeur de 
20 moyens interdisant le type d*investigation decrit plus haut, et plus 
generalement d'empecher les observations illicites du comportement interne 
du processeur tout en utilisant des circuits standards parfaitement maitrises, 
permettant une conception simple et un diagnostic des defauts reposant sur 
le methodes classiques. 
25 Ce but est atteint par le fait que le microprocesseur ou 

microcalculateur imprevisible, comprenant un processeur, une premiere 
memoire de travail, une membire principale contenant un systeme 
d'exploitation, un programme principal et un programme secondare est 
caracterise en ce qu'il possede egalement : 
30 - une seconde memoire de travail; 
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- des moyens de commutation permettant, pendant I'execution des 
programmes, de commuter ('utilisation comme memoire de travail vers I'une 
de ses deux memoires de travail, tout en conservant leur contenu; 

- ces moyens de commutation comprenant au moins un bloc de 
registres de memorisation du contexte de deroulement des programmes 
dans la memoire principale et un circuit d 1 aiguillage pour la validation d'une 
des memoires de travail et des registres d'acces associes a chaque memoire 
et controles par ledit circuit d'aiguillage 

Selon une autre particularite, il possede un second bloc de registres 
de memorisation du contexte de deroulement du programme secondaire. 

Selon une autre particularite, il possede des moyens de 
decorrelation du deroulement des programmes par rapport a une horloge 
isochrone. 

Un autre but de r invention est de faire en sorte que la mise en 
oeuvre de ces moyens soit assuree par le processeur lui-meme, de telle 
sorte que la securite supplemental creee par les moyens ci-dessus ne 
depende que d'une decision du systeme d'exploitation situe dans le 
microcalculateur et par consequent soit imprevisible pour un fraudeur. 

Ce but est atteint par le fait que le programme principal peut 
autoriser ou inhiber le ou les mecanismes de commutation, par chargement 
du circuit de validation des memoires de travail et des blocs de registres de 
memorisation associes a chaque memoire de travail. 

Selon une autre particularite, la deuxieme memoire de travail et ses 
registres d'acces se substituent, dans son utilisation par un programme 
principal, a la premiere memoire et ses propres registres d'acces. 

Un troisieme but de I'invention est de rendre le temps d'execution 
independant du programme lui-meme sans pour autant etre oblige d'utiliser 
des signaux d'horloge et de cadencement aleatoires. 

Ce but est atteint par le fait que les moyens de decorrelation 
comprennent un generates aleatoire permettant de declencher par le circuit 



WO 99/00718 „ PCT/FR98/01343 



d'interruption une interruption aleatoire de desynchronisation de I'execution 
des programmes dans ie processeur, par branchement aleatoire sur le 
programme secondare. 

Selon une autre particularity les moyens de decorrelation 
5 comprennent un systeme de comptage de temps independent du processeur 
1 permettant a la fin du comptage de temps de declencher une interruption 
pour revenir du programme secondare au programme principal. 

Selon une autre particularity, le moyen de commutation des 
memoires de travail est commande soit par le processeur et son programme, 
10 soit par le systeme d'interruption aleatoire, soit par un compteur de temps, 
soit encore par une combinaison quelconque d'au moins deux parmi les 
trois. 

Un quatrieme but de I'invention est d'eviter que les commutations de 
registres ne puissent etre interpretees pour acceder directement ou 
1 5 indirectement aux informations sensibles. 

Ce but est atteint par le fait que le moyen de commutation des 
memoires de travail est valide par ie chargement a partir du processeur 
executant une sequence du programme principal. 

Selon une autre particularity, le programme secondare utilise un 
20 espace de travail identique a celui du programme principal dans la memoire 
principale. 

Selon une autre particularity, le programme secondaire utilise un 
espace de travail plus petit que celui du programme principal. 

Selon une autre particularity, le moyen de commutation effectue la 
25 substitution des memoires de travail et des contextes associes, a I'interieur 
du cycle d'execution d'une instruction du microprocesseur. 

Selon une autre particularity, le programme secondaire ne modifie 
pas le contexte general de fonctionnement du programme principal afin de 
permettre le retour a ce dernier sans avoir a retablir ce contexte. 
30 Selon une autre particularity, le contexte du programme principal est 

retabli soit automatiquement par le programme secondaire, soit 
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automatiquement par le moyen de commutation, avant de redonner le 
controle au programme principal. 

Selon une autre particularite, il comporte des moyens de substitution 
de la memoire du programme secondaire a la memoire du programme 
principal. 

Selon une autre caracteristique, le programme principal peut utiliser 
alternativement ou simuitanement la premiere memoire de travail et/ou la 
seconde memoire de travail. 

Selon une autre caracteristique, le chargement du circuit d'aiguillage 
permet le masquage ou le demasquage des interruptions de decorrelation. 

Selon une autre caracteristique, le retour au programme principal 
s'effectue par une interruption declenchee par le programme secondaire 
apres que le registre d'aiguillage ait ete convenablement charge, par 
execution d'une instruction du programme principal ou du programme 
15 secondaire, pour demasquer les interruptions. 

Selon une autre particularite, il est realise dans un circuit integre 
monolithique. 

D'autres particulates et avantages de la presente invention 
apparaltront plus clairement a la lecture de la description ci-apres faite en 
20 reference aux dessins annexes dans lesquels : 

La figure 1 represente le schema electronique du circuit integre 
selon un des modes de realisation de Invention; 

La figure 2 represente le diagramme temporel de I'execution 
^'instructions lors de I'apparition des interruptions et la prise en compte de 
25 ('interruption non masquee; 

La figure 3 represente une variante de realisation du circuit de 
chargement de I'un des registres de memorisation du circuit integre; 

La figure 4 represente le logigramme de la partie de programme (P2) 
permettant le retour au fonctionnement normal du circuit 

30 



WO 99/00718 - PCT/FR98/01343 



La figure 1 represente I'un des modes de realisation de I'invention. 
Le microprocesseur ou microcalculateur objet de I'invention appele SUMIC 
(Self Unpredictable Microcomputer) est constitue d'un circuit integre 
monolithique comportant une unite de traitement (1), d'une memoire (6) non 
5 volatile contenant les programmes a executer, une memoire RAM (51) avec 
ses registres d'adresse (A2) et de donnees (D2)ainsi que d'un generateur de 
signaux aleatoires ou pseudo-aleatoires (2) qui delivre, par exemple, des 
impulsions a intervalles irreguliers et imprevisibies, un circuit d'interruption 
(4), un registre (R2), un timer (R3), un circuit sequenceur (8), une memoire 

10 non volatile (7) (NVM) t une memoire « trompe I'oeil » (dummy memory- 
DUMRAM) (52) du type volatile avec ses registres d'adressage (A3) et de 
donnee (D3), deux piles de registres (54, 55) pour memoriser les parametres 
de retour au fonctionnement normal ainsi qu'un circuit d'aiguillage (53) 
constitue par exemple par un registre ayant le nombre de cellules suffisant 

15 pour controler le fonctionnement des registres d'adresses (A1) et (A3) et de 
donnees (D1) et (D3) et un premier bloc (54) et un deuxieme bloc (55) de 
registres de memorisation. Ce registre d'aiguillage (53) est charge par l'unite 
de traitement (1) a travers le bus (3). L'etat de ce registre d'aiguillage (53) 
permet notamment de valider la RAM et/ou la DUMRAM dans I'espace 

20 memoire de travail du processeur ou hors de cet espace. 

Dans ce circuit integre monolithique, l'unite de traitement est reliee 
par un bus (3) aux differentes memoires vers chaque fois un registre 
d'adresses respectif (A1, A2, A3) et un registre de donnees respectif (D1, 
D2, D3), chacun de ces registres d'adresses et de donnees etant 

25 verrouiliable par une ligne de commandes (531 A, 532 A, 536 A), 
respectivement (531 D, 532 D, 536 D), sortant du circuit d'aiguillage (53). Ce 
circuit d'aiguillage comporte egalement trois autres lignes de commande, 
l'une (533) aboutissant a une porte ET (11) a deux entrees, dont la 
deuxieme entree re^oit une" ligne du bus (31) provenant du circuit 

30 d'interruption. La sortie de cette porte ET est connectee directement a I'un 
des bits du registre de validation d'interruption IER (Interrupt enable 
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register) pour permettre ie masquage de ('interruption declenchee par le 
circuit d'interruption (4) uniquement lorsque le circuit d'aiguillage n ! a pas ete 
active et lorsque par consequent la ligne (533) rVest pas active. 

Les deux autres lignes (534, 535) verrouillent chacune Tun des deux 
blocs ou piles de registres de memorisation (54, 55). Chacun des blocs 
comporte une pluralite de registres de memorisation (54), respectivement 
(55), permettant le stockage des informations qui seront decrites ci-apres. 
Ces registres (54, 55) sont relies au bus (3) commun aux memoires. Ce 
meme bus (3) permet le chargement du circuit d'aiguillage (53) avec les 
valeurs necessaires pour rendre les lignes (531 A, 532 A, 532 D, 536 A, 536 
D, 533, 534, 535) de commande actives ou inactives selon le mode de 
fonctionnement souhaite. La memoire non volatile (6) contient le systeme 
Sexploitation du circuit (operating system) et un premier programme (P1) 
d'application, dit programme principal par la suite, ainsi qu'un second 
programme (P2), denomme programme secondaire par la suite, le 
sequencer (8), les registres (R2), le timer (R3) et le generates aleatoire 
(R1) sont egalement relies au bus (3) et les trois elements (R1, R2, R3) sont 
relies a un circuit de generation d'interruption (4), lequel est branche sur les 
entrees d'interruption du processeur (1) en utilisant sur le registre de 
masquage d'interruption (IER) du processeur un des bits qui, en general, se 
trouve reserve et disponible pour des applications specifiques a certains 
utilisateurs. 

Dans un premier mode de realisation, le programme principal (P1) 
contenu en memoire non volatile (6) modifie, lorsque necessaire, I'etat du 
circuit d'aiguillage (53) par I'intermediaire du bus (3), ce qui ne presente 
aucune difficult* de realisation. Ceci met momentanement hors circuit la 
memoire RAM principale de travail (51) ou une partie de cette memoire en 
agissant sur I'entree CE (chip enable) de validation d'un boltier de memoire, 
ainsi que tous les registres necessaires du premier bloc (54), pour le retour 
au fonctionnement normal. Ces memoires et registres pourront etre 
avantageusement du type statique afin d'economiser I'energie necessaire a 
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leur maintien. Le circuit d'aiguillage (53) substitue done la memoire 
« trompe-l'oeil » (52) a la memoire principale de travail (51) afin que les 
programmes s'executant utilisent exclusivement la memoire « trompe-roeiU» 
a la place de la memoire principale de travail. Cette memoire « trompe- 
5 I'oeii » (52) peut etre situee aux memes adresses que la memoire a laquelle 
elle se substitue, mais peut etre situee egalement a une adresse differente. 
Une solution avantageuse et economique consiste a utiliser une memoire 
RAM de tres petite taille pour cette memoire « trompe-l'oeil ». En effet, cette 
memoire « trompe-l'oeil » ne jouant aucun role fonctionnel pour le 

10 programme principal, on peut restreindre I'espace adressable en diminuant 
tout simplement la longueur du registre d'adressage (A3). On peut aussi 
« replier » I'adresse sur elle-meme en faisant un OU-Exclusif entre plusieurs 
blocs du registre d'adresse. Ainsi, si I'espace adressable de la memoire 
principale de travail est de 512 octets, on peut restreindre la memoire 

15 « trompe-l'oeil » a 32 octets sans aucun probleme, ce qui conduit ainsi a une 
realisation tres economique. Ces 32 octets peuvent corresponds, par 
exemple, a simplement ajouter une ligne de memoire RAM dans la matrice 
de la memoire principale de travail. ; Cette iigne aura dans ce cas ses propres 
registres d'adresse (A3) et de donnees (D3). Quand le circuit d'aiguillage 

20 (53) active la memoire « trompe-l'oeil » cela peut aussi interdire tout acces 
en ecriture dans la NVM, de fagon a ne pas perturber son contenu. 

On peut avantageusement, au sens de ('execution de la 
commutation, utiliser altemativement deux blocs de registres, un premier 
bloc (54) et un second bloc (55) contenant chacun tout le contexte 

25 necessaire a ('execution du programme, et notamment les compteurs de 
programme respectivement (PC1) pour le premier bloc (54) et (PC2) pour le 
second bloc (55), les registres de decodage destruction (D1) pour le 
premier et (D2) pour le second ainsi que d'autres registres symbolises par 
(T11,T12 et T21.T22). Ces derniers registres (T11, T12 , T21 et T22) 

30 conservent les parametres de fonctionnement, tel que par exemple le 
numero du cycle machine dans lequel on doit se trouver. Tous ces registres 
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sont commutes automatiquement par le circuit (53) d'aiguillage. Le 
changement d'adresse s'effectue dans ce cas instantanement, sans etre 
oblige, comme c'est le cas dans la plupart des microcalculateurs, de 
sauvegarder, par une instruction specifique, le contenu du compteur de 
5 programme dans une pile -de registres. Ainsi ia commutation dans les deux 
sens est tres rapide (en general tres inferieure a un cycle d'horloge), ce qui 
augmente considerablement le niveau de securite du dispositif. Le meme 
mecanisme peut etre utilise pour les autres registres qui sauvegardent le 
contexte de fonctionnement du processeur, comme (T1 1 a T22). 

10 " faut bien comprendre que lorsque le programme (P1), active par le 

chargement du registre d'aiguillage le fonctionnement en mode « trompe- 
I'oeil » du circuit integre, ce circuit d'aiguillage (53) va bloquer la premiere 
pile de registres (54), laquelle conservera les parametres anterieurs a 
I'operation « trompe-roeil » de fonctionnement du circuit, pour redemarrer la 

15 ou ie programme (P1) avait ete interrompu. De son cote, la seconde pile de 
registres (55) sera utilisee pour permettre le fonctionnement normal du 
circuit avec la memoire « trompe-roeil » en execution du programme (P2). II 
est bien evident egalement que dans ce cas le bit du registre IER de 
masquage des interruptions, correspondant au fonctionnement en mode 

20 « trompe-roeil », aura ete demasque, ceci de fa?on a permettre, lors de la 
generation d'une Finterruption, soit par le generateur aleatoire, soit par le 
timer (R3) prealablement charge par le generateur aleatoire avec un nombre 
aleatoire et a la fin de recoupment du temps represents par ce nombre, soit 
par le registre (R2) qui aura ete charge par des informations particulieres, de 

25 deciencher Interruption (31) de passage du fonctionnement normal sous le 
controle du programme (P1) au fonctionnementen mode « trompe-roeil » 
sous le controle du programme (P2). 

La figure 2 illustre le fonctionnement en mode interruption. Le 
diagramme montre qu'une premiere impulsion d'interruption IT, emise par le 

30 circuit d'interruption sur la ligne (31) vers I'unite de traitement (1), n'est pas 
prise en compte car elle a ete masquee en agissant sur le registre et le 
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masquage d' interruption par une instruction "MOVE immediat data to 
register IER" de chargement de donnee dans le registre de masquage. On 
suppose que finstruction en cours demasque Interruption de deroutement 
(mais cela peut etre fait par toute autre instruction a un instant different). La 
5 deuxieme impulsion est cette fois prise en compte par Tunite de traitement 
(1), ce qui fait commuter le circuit d'aiguillage (53) et par voie de 
consequence, le second bloc de registres (55) et la DUMRAM (52) 
deviennent actifs a la place du premier bloc (54) et de la memoire « trompe- 
I'oeil » RAM (51). On notera que la prise en compte de ('interruption ne peut 

10 se faire que lors de la transition d'un etat a un autre, par exemple entre (S2) 
et (S3), ceci afin de memoriser un etat stable et coherent de la machine, et 
surtout de restituer exactement le meme etat lors du retour au programme 
interrompu. Si cette interruption est prise en compte, comme c'est le cas 
habituel, a la fin d'une instruction, il n'y a pas de probleme particulier lors de 

15 la reprise du programme interrompu, puisque celle-ci s'opere normalement a 
Tinstruction suivante. Par contre, si cette interruption a lieu en cours 
d'execution d'une instruction, par exemple a I'etat (S2), il faut ,bien entendu, 
que les circuits de sequencement soient retablis a I'identique, de fagon a 
enclencher correctement I'etat (S3) lors de la reprise du programme 

20 interrompu. Ceci peut par exemple etre realise par une liaison directe entre 
le registre (T11) et le sequenceur (8) par I'intermediaire du bus (3) au 
moment de la reprise. Cette liaison peut egalement etre specifique sans 
passer par le bus (S3). On peut aussi avantageusement mettre les registres 
de memorisation d'etat dans le sequenceur lui-meme, ce qui evite la 

25 mobilisation du bus pendant cette phase. 

De cette maniere, par une interruption, le programme principal (P1) 
peut autoriser et/ou provoquer la commutation sur un programme secondaire 
(P2) ainsi que decrit plus bas. Quand le programme secondaire n'est plus 
30 actif, I'etat du circuit d'aiguillage (53) est change et la memoire de travail 
RAM retrouve sa configuration premiere sans modification, ce qui permet au 
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programme principal de reprendre son cours exactement au point ou il avait 
ete interrompu. On peut aussi faire en sorte que lorsque le programme 
principal (P1) veut se proteger, il declenche par deroutement lui-meme un 
• programme secondaire (P2) qui engendre un traitement de longueur 
5 aleatoire a des instants choisis par lui, soit au debut soit en cours de 
traitement de fa?on a brouiller les differentes sequences. Le fonctionnement 
du processeur peut alors etre pilote par le programme secondaire (P2) qui 
peut, par exemple, declencher une boucle d'attente dont le temps depend 
d'un nombre aleatoire issu du generateur (2). Le programme secondaire 

10 peut s'executer en utilisant les parties de memoire non utilisees par le 
programme principal afin que ce dernier puisse reprendre son cours normal 
soit des que le programme secondaire lui transmet a nouveau le controle 
soit encore a la prochaine interruption, soit encore en utilisant le timer 
comme precedemment, ou soit en utilisant une combinaison des deux. Le 

15 programme secondaire peut aussi utiliser des ressources communes a 
condition qu'il retablisse le contexte du programme principal avant de lui 
redonner le controle. 

On pourrait etre tente de dire que ces mecanismes s'apparentent a 
('execution d'un branchement de programme principal vers un programme 

20 secondaire avec retour en fin d'execution de ce dernier mais celui de 
Tinvention est tres different: 

le programme secondaire n'execute aucune fonction 
obligatoirement en relation avec le programme principal. 

- la taille de la memoire « trompe-l'oeil » (52) peut etre beaucoup 
25 plus petite que celle necessaire au derouiement normal d'un programme. 

- le contenu de la memoire « trompe-l'oeil » (52) n'a aucune 
importance car elle ne sert qu'a brouiller les pistes. 

- il est possible, avec ce mecanisme rapide, d'entrelacer les 
instructions de programme secondaire avec celles du programme principal. 

30 - il n'est pas necessaire de sauver le contexte du programme 

secondaire, puisque ce dernier ne sert qu'a brouiller les pistes. 
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Dans un deuxieme mode de realisation, lorsque le processeur fait 
commuter le circuit (53), il active en meme temps un timer (R3) initialise soit 
a I'aide du generateur aleatoire (2), soit a partir du contenu de la memoire 
non volatile NVM (7). Cette NVM du type E2 PROM, par exemple ou ferro- 
5 electrique, peut en effet contenir un nombre unique modifie a chaque 
utilisation de la NVM. Quand le timer (R3) arrive a echeance au bout d'un 
temps imprevisible, il declenche le retour au programme principal en 
commutant aussi le circuit d'aiguillage (53) pour remettre la memoire 
principale dans I'espace de travail. Ce mecanisme peut s'executer, soit par 

10 le biais d'une interruption classique, soit encore par une action directe du 
timer (R3) sur le circuit d'aiguillage (53) et par action sur les registres (PC1) 
et (PC2) controlant I'execution des programmes par I'unite de traitement (1) 
tels que (PC1) et (PC2). 

Dans une variante, il est possible d'utiliser pour le programme 

15 secondaire (P2), une partie quelconque du programme principal (P1) en 
pointant au depart sur une adresse au hasard et en realisant une inversion 
des octets qui sont issus de I'adresse et/ou en inversant, par exemple, le 
contenu du registre (ID2) par cablage a I'envers ou encore par un circuit de 
decalage a gauche du contenu d'une adresse. On aura ainsi I'assurance 

20 que ce programme executera des instructions completement fantaisistes. 

Une autre variante pour permettre I'execution destructions 
fantaisistes pourra etre constitute par la figure 3 dans laquelie un registre 
de decodage destructions temporaire IDT est relie, d'une part au bus (3) 
par une portion de bus (33) et d'autre-part, a la seconde pile de registres 

25 (55) permettant la memorisation des etats du circuit par une portion de bus 
(34). La portion de bus (34) est reliee materiellement au registre (ID2) de la 
pile (55) par un cablage particulier qui relie le bit (B7) du registre IDT au bit 
(B4) du registre (ID2), le bit (B6) du registre IDT au bit (B1) du registre (ID2) 1 
le bit (B5) du registre IDT au bit (B3) du registre (ID2), etc. 

30 Enfin, une derniere variante permettant I'execution (destructions) 

completement fantaisistes est constitute par le mode de realisation de la 
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figure 3B dans lequel le bus (3) est relie par une portion de bus (35) au 
registre IDT de decodage destructions temporaires. Une autre portion (37) 
de bus relie ce registre IDT a une porte OU-Exclusif (39) a plusieurs 
entrees. Les autres entrees de cette porte OU etant reliees par un bus (38) a 
5 un registre (R'2) charge par une portion (36) de bus qui le met en relation 
avec le bus (3). Ce registre (R'2) peut etre charge avec toute information 
telle que celle provenant du generateur aleatoire (R1), ou du timer, ou de la 
memoire non volatile NVM (7) par une instruction "MOVE register (R1) (par 
exemple) to register (R'2) n . Ce type destructions de deplacement est bien 

10 connu de Fhomme de metier du domaine des microprocesseurs et ne pose 
aucune difficulty de mise en oeuvre. Le OU-Exclusif entre les informations 
provenant du registre (R'2) et les valeurs chargees dans le registre IDT 
permet de modifier totalement les instructions du programme (P2) et ainsi 
d'executer des instructions completement fantaisistes. 

15 On peut aussi utiliser dans le programme (P2) une pluralite de 

sequences qui seront appelees de fa?on aleatoire et chacune de ces 
sequences mettra en oeuvre un ensemble destructions differentes qui 
entraTneront un temps de traitement variable dans chaque branche et des 
comportements differents du microprocesseur. Les sequences pourront etre 

20 appelees de fa?on aleatoire, par exemple, apres que le programme principal 
ait effectue le saut au programme secondare, ce dernier charge une valeur 
aleatoire V provenant de la memoire (7) dans deux registres, par exemple, 
(T21) et (T22) du microprocesseur (1). Le programme secondare 
incremente cette valeur V, puis le programme commande la memorisation de 

25 cette valeur incrementee dans la memoire non volatile (7). Cette valeur 
memorisee dans la memoire non volatile (7) est destinee a une utilisation 
ulterieure. Le programme secondaire preleve ensuite n bits de poids forts ou 
faibles dans (T21) afin d'obtenir une valeur r qui permettra de designer la 
sequence de programme a executer parmi les differentes sequences de 

30 programme secondaire. 
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Dans un troisieme mode de realisation, le generateur aleatoire (2) 
est interrogeable par le processeur (1) a travers le bus (3) par urie 
instruction de lecture afin de connaitre son etat, soit en lisant directement 
une impulsion determinee, soit en en regroupant plusieurs, soit encore en 
5 considerant le contenu du registre (R2) charge a partir du generateur 
aleatoire (2). Lorsque le programme principal veut se proteger, il passe le 
controle au programme secondaire d'une fagon similaire au mecanisme vu 
precedemment. 

Bien entendu, il est possible de combiner les effets des modes de 
10 realisation precedents, en ayant, d'une part une horloge aleatoire et d'autre 
part, la possibility d'interrompre le deroulement du programme principal, soit 
par lui-meme, soit par un systeme d'interruption aleatoire qu'il autorise ou 
non. 

On voit ainsi que le deroulement du programme principal est realise 

15 selon un sequencement absolument imprevisible qui depend, soit du 
generateur aleatoire, soit du programme, soit du timer, soit du programme 
secondaire, soit encore de deux, trois ou quatre elements a la fois. Lorsque 
le programme principal execute des fonctions non sensibles sur le plan 
securitaire, il peut ainsi recourir au fonctionnement normal, par exemple 

20 pour delivrer des resultats au monde exterieur ou encore masquer les 
interruptions de decorrelation du timer (R3) ou du generateur aleatoire (2) 
de fagon a optimiser le temps de traitement. Des qu'une fonction securitaire 
est mise en oeuvre, le programme principal (P1) autorise le fonctionnement 
en mode aleatoire en validant les interruptions de decorrelation afin de 

25 "brouiller" le fonctionnement. 

Un quatrieme mode de realisation, illustre egalement par la figure 1 
permet d'utiliser les memoires RAM (51) et (52) en simultaneity. En effet, si 
Ton suppose que Ton puisse arriver a detecter les commutations des 
memoires et des registres associes, on pourrait eventuellement faire une 

30 analyse en eliminant les sequences utilisant la memoire « trompe-l'oeil » 
(52). Pour eviter cet eventualite, ce mode de realisation permet de valider 
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simultanement les memoires (51) et (52) en parallele pendant une premiere 
phase. Ceci suppose, bien entendu, que la memoire (52) possede, dans ce 
cas, une taille au moins egale a celle de la zone utilisee par le programme 
(P1) dans la memoire (51) lorsqu'il travaille avec cette derniere. De cette 
5 maniere, les contenus des deux zones de memoire utilisees par le 
programme (P1) respectivement dans les memoires (51) et (52) sont 
initialises et utilises par ce programme de facon identique pendant cette 
premiere phase. Une variante peut consister a ne valider par chargement du 
circuit d'aiguillage (53) avec la configuration necessaire que I'un des deux 

10 registres (D2) ou (D3) pendant les cycles de lecture, pour eviter les 
eventuels conflits, mais cela ne change pas fondamentalement I'invention. 
On ne peut done distinguer quelle est la memoire qui sert reellement 
pendant cette phase. II est alors possible, pendant une deuxieme phase, de 
commuter les memoires alternativement et de facon aleatoire par des 

15 modifications du registre du circuit d'aiguillage (53), tout en continuant 
d'executer le meme programme (P1). On ne pourra done plus correler 
I'execution d'un programme ou d'un autre avec la RAM ou les registres 
utilises. Dans une troisieme phase, on commute sur la memoire « trompe- 
I'oeil » (52) en passant sur le programme (P2) comme decrit precedemmerit, 

20 et ce, a des instants imprevisibles, le retour a la memoire principale de 
travail (51) s'effectue aussi a des instants imprevisibles, le processus 
pouvant se reproduire a volonte sous le controle du programme principal 
(T1 ) qui veut se proteger. 

Enfin, le dernier probleme pose par I'invention consiste a pouvoir 

25 quitter le mode « trompe-l'oeil » du programme (P2) pour revenir au mode 
de fonctionnement normal avec le programme (P1). Juste avant de passer le 
controle au programme (P2), le programme (P1) autorise les interruptions 
provenant soit du generateur aleatoire, soit du timer, non sans savoir 
initialise ce dernier. Pendant le deroulement du programme anarchique (P2), 

30 survient alors une interruption par le circuit (4) qui passe la main a un 
programme d'interruption (PIT). Ce programme, qui est accede de facon 
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classique par I'intermediaire d'un vecteur d'interruption, analyse par exemple 
le contexte d'execution du programme en cours. Si (P2) est actif, PIT 
repasse le controle au programme (P1). Ce mecanisme peut s'effectuer de 
la fa£on suivante : lors de I'execution des premieres instructions du 
5 programme PIT, celui-ci peut par exemple etre constitue, comme represents 
a la figure 4, par une lecture (41) du contenu du circuit d'aiguillage (53) puis 
un test (42) pour determiner si les informations contenues dans le circuit 
(53) correspondent au fonctionnement en mode « trompe-l'oeil ». Dans 
1'affirmative, le programme PIT execute une instruction de retour au 

10 programme (P1) represents par I'etape (43), ce retour est provoque par 
I'ecriture du registre d'aiguillage (53) selon I'etape (44) qui consiste a 
modifier les valeurs des lignes (534) et (531). Cette nouvelle ecriture (44) 
dans le registre d'aiguillage (53) permet de revenir en mode normal modifie 
les valeurs de la ligne (534) et de la ligne (531) de fa?on a autoriser a 

15 nouveau I'utilisation de la pile (54) et de la memoire de travail principaie 
(51). Cette instruction de retour au programme (P1) peut s'executer 
directement apres le test « trompe-l'oeil » (42) ou apres ('execution d'un 
certain nombre d'autres instructions non representees qui permettent de 
generer un temps aleatoire. Dans le cas ou le test (42) est negatif, le 

20 programme se poursuit a I'etape (45) par une ecriture du registre d'aiguillage 
(53) pour basculer en mode « trompe-roeil » de fagon a modifier les valeurs 
des lignes (535) et (532) pour autoriser ('utilisation de la pile de registre (55) 
et de la memoire « trompe-l'oeil » et de fa?on a verrouiller les circuits 
commandes par les ( 531 ) et (534). 

25 On remarquera, que dans tous ces modes de realisation, il n'est pas 

necessaire d'utiliser une horloge aleatoire. Au contraire, la distribution 
d'horloge peut rester tout a fait classique et isochrone, ce qui permet une 
conception facile des circuits ainsi que leur simulation et leur test. En fait, la 
securite ne provient plus du fait que le processeur est cadence 

30 aleatoirement, elle se situe au niveau de ('execution proprement dite des 
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programmes, et ceci en synchronisme ou non avec une horloge isochrone; 
c'est I'execution elle meme qui est brouillee. 

L'organisation des programmes executes par le processeur peut etre 
realisee de telle maniere que le fonctionnement du processeur soit pilote par 
5 un veritable systeme d'exploitation securitaire qui decide du type de 
brouillage a mettre en oeuvre en fonction du type de programme execute par 
la machine. Dans ce cas c'est le systeme d'exploitation qui gere comme bon 
lui semble les divers signaux provenant du generateur aleatoire, des 
interruptions, du lancement des programmes principal et secondaire. II est 

10 clair que le programme secondaire peut etre utilise pour realiser d'autres 
fonctions qu'une simple boucle d'attente, notamment des traitements qui 
peuvent etre utiles au programme principal, de facon a tirer parti du temps 
dedie au programme secondaire, ces traitements pouvant etre constitues , 
par exemple, par des preparations de calcuis utilises ulterieurement par te 

15 programme principal. Bien entendu, on peut facilement generaliser les 
mecanismes de I'invention lorsque le processeur fonctionne en multi- 
application, les programmes d'application pouvant alors etre consideres 
comme autant de programmes principaux. 

Le generateur aleatoire et le timer vus plus haut ne posent pas de 

20 problemes particuliers de realisation et sont connus de I'homme de I'art 
lorsqu'ils sont utilises separement pour d'autres usages n'ayant aucun lien 
avec I'invention. 

Pour le generateur aleatoire, on peut, par exemple, utiliser des 
compteurs reboucles ayant des periodes differentes. ces compteurs etant 

25 initialises par une information d'initialisation stockee en memoire non volatile 
(7). Lorsque le processeur demarre, les compteurs prennent en compte la 
valeur stockee comme valeur de depart. En cours de calcul ou a la fin.z la 
memoire non volatile est mise a jour avec une nouvelle valeur qui va servir 
d'information d'initialisation pour initialiser, les compteurs a la prochaine 

30 initialisation. La generation des impulsions d'interruption vues plus haut peut 
alors se produire lorsque le nombre genere possede certaines 
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caracteristiques telles que I'egaiite avec certaines donnees du programme. 
On peut aussi prendre la vaieur d'un ou plusieurs bits d'un ou plusieurs 
compteurs. II est egalement possible de realiser un tres bon generateur 
aleatoire en utilisant un algorithme cryptographique ou une fonction de 
5 hachage, initialises par 1'information d'initialisation vue plus haut. Dans ce 
cas, le generateur peut etre realise sous la forme d'un programme mettant 
en oeuvre ('algorithme. On voit facilement que ce generateur de nombre 
aleatoire peut etre egalement utilise pour engendrer les divers nombres 
aleatoires vus plus haut. Une autre maniere de realiser un tel generateur est 
10 d'amplifier la tension engendree aux bornes d'une diode dite M de bruit " et de 
mettre en forme les signaux apres un filtrage passe bas pour eviter que les 
impulsions de bruit trop rapide ne perturbent le fonctionnement du 
microprocesseur. 
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REVENDICATIONS 



1. Microprocesseur ou microcalculateur imprevisible, comprenant un 
5 processeur (1), une premiere (51) memoire de travail, une memoire 

principale (6) contenant un systeme d'exploitation, un programme principal 
(P1) et un programme secondaire (P2), caracterise en ce qu'il possede 
egalement : 

- une seconde (52) memoire de travail; 

10 - des moyens de commutation permettant, pendant r execution des 

programmes, de commuter ['utilisation comme memoire de travail vers Tune 
de ses deux memoires de travail (51 , 52), tout en conservant leur contenu; 

- ces moyens de commutation comprenant au moins un bloc de 
registres (54) de memorisation du contexte de deroulement des programmes 

15 dans la memoire principale et un circuit d' aiguillage (53) pour la validation 
d'une des memoires de travail et des registres d'acces (A1-A3), (D1-D3) 
associes a chaque memoire (51, 52, 6) et controles par ledit circuit 
d'aiguillage (53). 

2. Microprocesseur ou microcalculateur imprevisible selon ia 
20 revendication 1, caracterise en ce qu'il possede un second bloc de registres 

(55) de memorisation du contexte de deroulement du programme 
secondaire. 

3. Microprocesseur ou microcalculateur imprevisible selon Tune des 
revendications precedentes, caracterise en ce qu'il possede des moyens 

25 (R1, R2, R3) de decorrelation du deroulement des programmes par rapport a 
une horloge isochrone. 

4. Microprocesseur ou microcalculateur selon Tune des 
revendications precedentes, caracterise en ce que le programme principal 
peut autoriser ou inhiber le ou les mecanismes de commutation, par 

30 chargement du circuit (53) d'aiguillage et de validation des memoires de 



WO 99/00718 21 PCT7FR98/01343 



travail (51, 52) et des blocs de registres de memorisation (54,55) associes a 
chaque memoire de travail (51, 52) respective. 

5. Microprocesseur ou microcalculateur imprevisible selon I'une des 
revendications precedentes, caracterise en ce que la deuxieme memoire de 

5 travail (52) et ses registres d'acces (A3, D3) se substituent dans son 
utilisation par un programme principal, a la premiere memoire (51) et ses 
propres registres d'acces (A2, D2). 

6. Microprocesseur ou microcalculateur imprevisible selon la 
revendication 3, caracterise en ce que les moyens de decorrelation 

10 comprennent un generateur aleatoire (2) permettant de declencher par le 
circuit d' interruption (4) une interruption aleatoire de desynchronisation de 
I'execution des programmes dans le processeur, par branchement aleatoire 
sur le programme secondare (P2). 

7. Microprocesseur ou microcalculateur selon les revendications 4 
15 ou 6, caracterise en ce que les moyens de decorrelation comprennent un 

systeme de comptage de temps (R3) independant du processeur (1) 
permettant a la fin du comptage de temps de declencher une interruption 
pour revenir du programme secondaire au programme principal. 

8. Microprocesseur ou microcalculateur imprevisible selon les 
20 revendications 4, ou 6,ou 7 ou leur combinaison, caracterise en ce que le 

moyen de commutation (53, 54, 55, A2, A3, D2, D3)) des memoires de 
travail est commande, soit par le processeur et son programme, soit par le 
systeme d'interruption aleatoire (2, 4), soit par un compteur de temps (R3), 
soit encore par une combinaison quelconque d'au moins deux parmi les 
25 trois. 

9. Microprocesseur ou microcalculateur imprevisible selon I'une des 
revendications precedentes ou de leur combinaison, caracterise en ce que 
le moyen de commutation (53, 54, 55, A2, A3, D2, D3), des memoires de 
travail est valide par le chargement a partir du processeur (1) executant une 

30 sequence du programme principal. 
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15 



20 



25 



30 



10. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications precedentes, caracterise en ce que le programme 
secondaire (P2) utilise un espace de travail identique a celui du programme 
principal (P1) dans la memoire principale (6). 

11. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications 1 a 9, caracterise en ce que le programme secondaire 
(P2) utilise un espace de travail plus petit que celui du programme principal 
(P1). 

12. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications precedentes, caracterise en ce que le moyen de 
commutation effectue la substitution des memoires de travail (51, 52, 53, 54, 
55, A2, A3, D2, D3)) et des contextes associes, a I'interieur du cycle 
d'execution d'une instruction du microprocesseur. 

13. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications precedentes, caracterise en ce que le programme 
secondaire (P2) ne modifie pas le contexte general de fonctionnement du 
programme principal (P1) afin de permettre le retour a ce dernier sans avoir 
a retablir ce contexte. 

14. Microprocesseur ou microcalculateur imprevisible selon la 
revendication 13, caracterise en ce que le contexte du programme principal 
(P1) est retabli soit automatiquement par le programme secondaire (P2), soit 
automatiquement par le moyen de commutation (53), avant de redonner le 
controle au programme principal (P1). 

15. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications precedentes, caracterise en ce qu'il comporte des 
moyens de substitution de la memoire du programme secondaire (P2) a la 
memoire du programme principal (P1 ). 

16. Microprocesseur ou microcalculateur imprevisible selon I'une 
des revendications precedentes, caracterise en ce que le programme 
principal (P1) peu t utiliser alternativement ou simultanement la premiere 
memoire de travail (51) et/ou la seconde memoire de travail (52). 
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17. Microprocesseur ou microcalculateur imprevisible, caracterise en 
ce que le chargement du circuit d'aiguillage (53) permet le masquage ou le 
demasquage des interruptions de decorrelation. 

18. Microprocesseur ou microcalculateur imprevisible, caracterise en 
5 ce que le retour au programme principal (P1) s'effectue par une interruption 

declenchee par le programme secondaire (P2) apres que le registre 
d'aiguillage (53) ait ete convenablement charge, par execution d'une 
instruction du progamme principal (P1) ou du programme secondaire (P2), 
pour demasquer les interruptions. 
10 19. Microprocesseur ou microcalculateur imprevisible, caracterise en 

ce qu'il est realise dans un circuit integre monolithique. 



15 



This Page Blank (usptol 



WO 99/00718 



1 /3 



PCT/FR98/01343 




FIG. 1 



T ^5 Page Blank fusp?^ 



WO 99/00718 



2 / 3 



PCT/FR98/01343 



njn_nj^jn_ri_riJiJi f ruiJ 



SI 


S2 










S3 | S4 | S5 
EXECUTION 





S3 I S4 1 S5 



IT- 
PI" 

P2- 



J~L 



-f- 



FIG. 2 



NON 




r 



ECRIT 53 POUR 
BASCULER EN 
TROMPE L'OEIL 



MODIFIER 
55 ET 52 



OUI 



RET PI 



ECRITURE 53 POUR 
REVENIR EN MODE 
NORMAL. MODIFIER 
54, 51 



-44 



FIG. 4 



This Page Blank (uspt^ 



3 / 3 



PCT/FR98/01343 



J3 



V 



R'2 


38 


_ j 







IDT 




37 



H 


)2 - 













FIG. 3B 



IDT 













FIG. 3A 



DO 



p oge Blank (uspt^ 



INTERN^^ 



ONAL SEARCH REPORT 



lr ttional Application No 

PCT/FR 98/01343 



A. CLASSIFICATION OF SUBJECT MATTER 

IPC 6 G06F1/00 606F9/46 



According to International Patent Classification (I PC) or to both national classification and IPC 



B. FIELDS SEARCHED 



Minimum documentation searched (classification system followed by classification symbols) 

IPC 6 G06F 



Documentation searched other than minimum documentation to the extent that such documents are included in the fields searched 



Electronic data base consulted during the international search (name of data base and, where practical, search terms used) 



C. DOCUMENTS CONSIDERED TO BE RELEVANT 



Category * Citation of document, with indication, where appropriate, of the relevant passages 



Relevant to claim No. 



EP 0 135 753 A (IBM) 3 April 1985 

see abstract; figures 

see page 5, line 7 - line 28 

see page 9, line 13 - page 13, line 6 

see claims 

EP 0 129 693 A (IBM) 2 January 1985 

see abstract; figure 1 

see page 1, line 1 - line 8 

see page 2, line 26 - page 4, line 6 

see page 9, line 19 - line 30 

see page 11, line 3 - line 15 

EP 0 448 262 A (GEN INSTRUMENT CORP) 
25 September 1991 
see abstract 

see column 1, line 29 - column 3, line 4 
see cl aims 1-3 

-/-- 



1-6 



1-6 



3,6 



Further documents are listed in the continuation of box C. 



[X I Patent family members are listed in annex. 



° Special categories of cited documents : 

"A" document defining the general state of the art which is not 
considered to be of particular relevance ■■ L - ; 

"E" earlier document but published on or after the international 
f iring date 

V document which may throw doubts on priority daim(s) or 
which is cited to establish the publication date of another 
citation or other special reason (as specified) 

°0° document referring to an oral disclosure, use, exhibition or 
other means 

"P" document published prior to the international filing date but 
later than the priority date claimed 



T" later document published after the international filing date 
or priority date and not in conflict with the application but 
cited to understand the principle or theory underlying the 
invention 

"X" document of particular relevance: the claimed invention 
cannot be considered novel or cannot be considered to 
involve an inventive step when the document is taken atone 

"Y" document of particular relevance; the claimed invention 

cannot be considered to involve an inventive step when the 
document is combined with one or more other such docu- 
ments, such combination being obvious to a person skilled 
in the art. 

document member of the same patent family 



Date of the actual completion of the international search 



17 September 1998 



Date of mailing of the international search report 



24/09/1998 



Name and mailing address of the ISA 

European Patent Office, P.B. 5818 Patentlaan 2 
NL - 2260 HV Rifswijk 
Tel. (+31-70) 340-2040. Tx. 31 651 epo rt. 
Fax: (431-70) 340-3016 



Authorized officer 



Wiltlnk, J 



Form PCT/ISA/210 (second sheet) (July 1 992) 



page 1 of 2 



INTER 



Mi 



ONAL SEARCH REPORT 



lr ' Jtlonal Application No 

PCT/FR 98/01343 



C(Continuatlon) DOCUMENTS CONSIDERED TO BE RELEVANT 



Category ' 



Citation of document, with tndicatioawhere appropriate, of the relevant passages 



Relevant to claim No. 



EP 0 463 855 A (NIPPON ELECTRIC CO) 
2 January 1992 

see abstract; claims; figures 

EP 0 417 817 A (DIGITAL EQUIPMENT CORP) 
20 March 1991 

see abstract; claims 1-4; figure 1 



3,6 



Foim PCT/lSA/21 0 (continuation ot second sheet) (Juty 1992) 



page 2 of 2 



INTERIsWtONAL SEARCH REPORT 

Information on patent family members 



ational Application No 

PCT/FR 98/01343 



Patent document 
cited in search report 


Publication 
date 


Patent family 
member(s) 


Publication 
date 


EP 0135753 A 


03-04-1985 


US 


4591982 


A 


27-05-1986 






DE 


3485205 


A 


28-11-1991 






JP 


1464934 


C 


10-11-1988 






JP 


60055467 


A 


30-03-1985 






JP 


63013223 


B 


24-03-1988 



EP 0129693 A 02-01-1985 US 4575817 A 11-03-1986 

CA 1204877 A 20-05-1986 

JP 1600728 C 31-01-1991 

JP 2026250 B 08-06-1990 

JP 60008956 A 17-01-1985 



EP 0448262 A 25-09-1991 



EP 0463855 A 02-01-1992 



AT 


152530 


T 


15-05-1997 


AU 


637677 


B 


03-06-1993 


AU 


7291591 


A 


26-09-1991 


CA 


2037857 


A 


21-09-1991 


DE 


69125881 


D 


05-06-1997 


DE 


69125881 


T 


14-08-1997 


DK 


448262 


T 


27-10-1997 


ES 


2100207 


T 


16-06-1997 


GR 


3023851 


T 


30-09-1997 


IE 


74155 


B 


02-07-1997 


JP 


4223530 


A 


13-08-1992 


US 


5249294 


A 


28-09-1993 


JP 


4054652 


A 


21-02-1992 


US 


5751988 


A 


12-05-1998 



EP 0417817 


A 


20-03-1991 


AU 


631246 


B 


19-11-1992 








AU 


6261690 


A 


21-03-1991 








CA 


2025518 


A 


16-03-1991 








US 


5220661 


A 


15-06-1993 



Form PCT/lSA/210 (patent famfly annex) (July 1992) 



This 



e 



Blank ( t 



u spto) 



RAPPORT DE RE 



<ArCHE INTERNATIONALE r£ 



»de Internationale No 

PCT/FR 98/01343 



A. CLASSEMENT DE L'OBJET DE LA DEMANDE 

CIB 6 G06F1/00 G06F9/46 



Selon la classification Internationale des brevets (CIB) ou a la fois selon la classification national et la CIB 

B. DOMAINES SUR LESQUELS LA RECHERCHE A PORTE 

Documentation minimale consuttee (systeme de class if i cation suivi des symboles de classement) 

CIB 6 G06F 



Documentation consuttee autre que la documentationminimale dans la mesureou ces documents relevant des domaines sur lesquels a porte la recherche 



Base de donnees eiectronique consuttee au cours de la recherche intematlonale (nom de la base de donnees, et si celaest realisable, termes de recherche 
utilises) 



C. DOCUMENTS CONSIDERES COMME PERTINENTS 



Categone ° 


Identification des documents crtes, avec.te cas echeant, P indication des passages pertinents 


no. des revendications visees 


Y 


EP 0 135 753 A (IBM) 3 avril 1985 


1-6 




voir abrege; figures 






voir page 5, ligne 7 - ligne 28 






voir page 9, ligne 13 - page 13, ligne 6 






voir revendications 




Y 


EP 0 129 693 A (IBM) 2 Janvier 1985 


1-6 




voir abrege; figure 1 






voir page 1, ligne 1 - ligne 8 






voir page 2, ligne 26 - page 4, ligne 6 






voir page 9, ligne 19 - ligne 30 






voir page 11, ligne 3 - ligne 15 






-/— 





j )( I voir la suite du cadre C pour la finde la liste des documents 



Les documents de families de brevets sont tndiquesen annexe 



* Cat agones sped ales de documents cites: 

"A" document definissant I'etat general de latechnique, non 

considere comma particulierement pertinent 
"E" document anterieur, mats publie a la date ded6p6t international 

ou apres cette date 

"L" document pouvant jeter un doute sur une revendcation de 
priorite ou cite pour determiner la date de publication d'une 
autre citation ou pour une raison spec tale (telle qu'indiquee) 

"O" document se referant a une divulgation orale, a un usage, a 

une exposition ou tous autres moyens 
"P" document publie avant ta date de ddpdtinternational, mais 

posterieurement a la date de priorite revendiquee 



T a document utterieur publie apres la date de depdt international ou ta 
date de priorite et n appartenenant pas a I'etat de la 
technique pertinent mais cite pour comprendre le principe 
ou ia theorie constituent la base def invention 

"X" document particulierement pertinent invention revendiquee ne peut 
etre consideree comme nouvetle ou comme impliquant une activite 
.. inventive par rapport au document considere isolement 

"V document particulierement pertinent: ("invention revendiquee 

ne peut etre consideree comme impliquant une activite inventive 
lorsque le document estassode a un ou ptusieurs autres 
documents de meme nature, cette combinaison start evident© 
pour une personne du metier 

document qui fait partte de ta meme famillede brevets 



Date a iaqueile la recherche international a ete effective me nt achevee 

17 septembre 1998 


Date d'expedition du present rapport de recherche international© 

24/09/1998 


Nom et adresse postal e de 1'admintstrationchargee de la recherche intematlonale 
Office Europeen des Brevets, P.B. 5618 Patentlaan 2 
NL - 2280 HV Rijswijk 
Tel. (+31-70) 340-2040, Tx. 31 651 epo nl. 
Fax: (431-70) 340-3016 


Fonctionnaire auto rise 

Wlltink, J 



Fomulaire PCT/1SA/210 (douodeme feuflte) Quiflst 1992) 



page 1 de 2 



RAPPORT DE 



re4^ 



RCHE INTERNATIONALE 



• 



ide Internationale No 

PCT/FR 98/01343 



C(suite) DOCUMENTS CONSIDERES COMME PERTINENTS 



Catagorie ° Identification des documents cites, avec.le cas echeant, I'indtcatlondes passages pertinents 



no. des revendications visees 



EP 0 448 262 A (GEN INSTRUMENT CORP) 
25 septembre 1991 
voir abrege 

voir colonne 1, Hgne 29 - colonne 3, 
Hgne 4 

voir revendications 1-3 

EP 0 463 855 A (NIPPON ELECTRIC CO) 
2 Janvier 1992 

voir abrege; revendications; figures 

EP 0 417 817 A (DIGITAL EQUIPMENT CORP) 
20 mars 1991 

voir abrege; revendications 1-4; figure 1 



3,6 



3,6 



Fonrateiro PCT7lSA/210<sute de la deuxttme foutoe) (juBtet 1992) 



page 2 de 2 



RAPPORT DE REOVHE INTERNATIONALE 

Rensefgnements ret at i. . ^ux membresde families de brevets 



1 



nde Internationale No 

PCT/FR 98/01343 



UUvUlMClU UICVCSI UIB 






Membre(s) de la 




Data rf a _ 


au rapport de recherche 




publication 


famille de brevet(s) 




publication 


EP 0135753 


A 


03-04-1985 


US 


4591982 


A 


27-05-1986 








DE 


3485205 


A 


28-11-1991 






* 


JP 


1464934 


C 


10-11-1988 








JP 


60055467 


A 


30-03-1985 








JP 


63013223 


B 


24-03-1988 


EP 0129693 


A 


02-01-1985 


US 


4575817 


A 


11-03-1986 








CA 


1204877 


A 


20-05-1986 








JP 


1600728 


C 


31-01-1991 








JP 


2026250 


B 


08-06-1990 








JP 


60008956 


A 


17-01-1985 




EP 0448262 


• 

A 


25-09-1991 


AT 


152530 


T 


15-05-1997 








AU 


637677 


B 


03-06-1993 








AU 


7291591 


A 


26-09-1991 








CA 


2037857 


A 


21-09-1991 








DE 


69125881 


D 


05-06-1997 








DE 


69125881 


T 


14-08-1997 








DK 


448262 


j 


27-10-1007 








ES 


2100207 


T 


16-06-1997 








GR 


3023851 

^ W w W w M 


T 


30-09-1997 








IE 


74155 


R 

U 


02-07-1997 

V/ C \J f 177/ 








JP 


4223530 


A 


13-08-1992 









US 


5249294 


A 


28-09-1993 




EP 0463855 




A 


02-01-1992 


JP 


4054652 


— 

A 


— — 

21-02-1992 








US 


5751988 


A 


1 2-05-1 gqft 

X C— \J*J 177Q 


EP 0417817 


A 


20-03-1991 


AU 


631246 


B 


19-11-1992 








AU 


6261690 


A 


21-03-1991 








CA 


2025518 


A 


16-03-1991 








US 


5220661 


A 


15-06-1993 





Fonnuiaire PCT/ISA/21 0 (annexe families de brevets) QuBI«t 1 992) 



This Page Blank (uspto) 



